基于上电自检与顺序观察的汽车功能安全保证

摘要

本文提出了一种用于多周期测试下顺序观察（SEQOB）的新架构，以减少上电自检的测试量，满足 ISO26262中规定的汽车功能安全的潜在故障要求。应用于汽车系统的两个商用电路的实验结果验证了SEQOB的有效性。

索引词

片上内建自测试；上电自检；多周期测试；顺序观察；ISO26262；功能安全

I. 引言

SO26262标准已被确立为满足汽车系统功能安全要求的最先进的标准[1]。该标准定义了从最低ASIL_A到最高 ASIL_D的汽车安全完整性等级（ASIL，automotive safety integrity level）风险分类方案，并规定了潜在故障（LF）覆盖率的定量要求。潜在故障（LF）是指安全机制（如冗余、自检电路等）中可能存在的故障，这些故障不会立即导致功能错误，但会导致安全性下降，并在某些后续严重条件下演变为危险失效。对于高级驾驶辅助系统（ADAS，advanced driver assistance system）应用，至少需要达到90%潜在故障覆盖率，以满足ASIL‐D要求[2]。

最近，一种基于LBIST（逻辑内建自测）的上电自检（POST）已应用于汽车系统，用于检测现场中的潜在故障[3]。在汽车系统中，上电自检在发动机启动期间执行，以在开始任何功能操作之前测试安全关键器件，从而可以在早期阶段检测器件中的故障覆盖率（LF coverage）。通常，汽车系统中上电自检的测试应用时间受到严格限制（例如10毫秒）[4]。为了满足故障覆盖率（LF coverage）要求（>90%），上电自检需要在较短的测试应用时间内实现较高的故障覆盖率。

在片上内建自测试（LBIST）中，通常使用线性反馈移位寄存器（LFSR）生成具有随机特性的测试序列，以有效检测已建模/未建模故障。然而，测试序列/响应的串行加载/卸载将导致大量的测试应用时间。为了满足上电自检（POST）的要求，有必要减少测试模式量并提高LBIST的故障覆盖率。

许多复杂的方案已被提出，通过改进测试架构的时钟方案或测试调度来实现测试向量压缩。在[5]中引入了一种利用扫描移位时钟周期进行故障检测的方法，该方法在中间移位时钟周期，并在后续的扫描移位周期中将捕获到某些影子触发器中的响应重用为新测试向量的一部分。在[6]中，作者提出了一种TMS（三模扫描）测试方案，该方案可动态重构扫描单元以在不同操作模式（普通触发器、测试激励或测试响应压缩器）下工作。由于确定性测试模式在每个时钟周期都施加（每个时钟测试），因此该方案能够在保持高故障覆盖率的同时显著减少测试应用时间。然而，这些方法需要增强的自动测试图样生成或确定性内建自测试技术，由于伪随机模式特性，使其难以在片上内建自测试中实现。

在[7]中，作者提出了一种用于测试压缩的多周期测试方法，该方法通过对电路施加多个捕获时钟，并将每个周期的捕获响应作为后续捕获周期中的测试激励来重用。与传统的扫描测试相比，多周期测试提供了更多的故障检测机会，因此有望减少扫描输入测试模式的数量。此外，为了解决故障消失问题（某些故障值可能在最后一次捕获时钟施加前消失），在[7]中还引入了顺序观察（SEQOB）技术，该技术通过额外的测试比较器在每个捕获周期直接观察部分触发器的值。

所提出的SEQOB方案中存在两个主要问题。第一个问题是，如何选择用于观察的触发器（故障检测增强型触发器：FDS_FFs），以最大程度地提高故障覆盖率。在我们之前发表于[8]的工作中，已分析了故障消失的机理，并提出了一种选择FDS_FFs的方法，以辅助提升故障覆盖率。第二个问题涉及用于SEQOB的附加测试比较器的结构。为了在捕获时钟速率下观察大量触发器的值，需要使用大型异或树压缩电路，这会导致更高的故障混叠概率以及在可测性设计中更复杂的布线。该问题在[8]中未被考虑。

本文是对我们在[8]中提出的前期工作的补充。在本文中，我们首先概述了在[8]中提出的FDS_FFs选择方法，然后介绍一种新的用于FDS_FF的扫描单元设计，称为SEQ_SC（SEQOB扫描单元），以降低可测性设计的复杂性。所提出的SEQ_SC能够克服1）多周期捕获期间的故障消失问题，以及2）由于通过异或门进行数据压缩而导致的故障效应混叠问题。我们还在两个商用汽车电路上实现了SEQ_SC设计，并进行了实验，以评估SEQ_SC设计和FDS_FFs选择方法的有效性。

据我们所知，目前没有论文包含商用汽车电路的实验结果。

本文的其余部分组织如下。第二节介绍故障消失问题和SEQOB。第三节概述我们在[8]中提出的前期工作中的FDS_FFs选择方法。第四节介绍用于SEQOB的FDS_FF新型扫描单元设计。第五节讨论两个商用汽车电路的案例研究。第六节总结全文。

II. 多周期测试与SEQOB中的故障消失

在本节中，我们概述了多周期测试和SEQOB技术中的故障消失问题。

A. 多周期测试和故障消失 [8]

与用于固定故障检测的传统扫描测试中每个捕获操作仅使用一个捕获时钟不同，多周期测试在捕获操作期间应用多个捕获时钟。每个捕获周期中的测试响应将作为测试激励应用于下一个捕获周期中的被测电路（CUT）。因此，该方法在减少测试模式数量方面具有良好的潜力。

然而，在常规多周期测试中，仅能观测到最后一个捕获周期捕获的响应。在中间捕获周期激发的故障值，可能由于故障扩展传播路径上的门电路处于不可控逻辑状态（伪随机模式特性），在传播到最终捕获周期之前即消失，我们将此现象称为故障消失。当捕获周期数量增加时，故障消失的可能性更高，可能导致故障覆盖率损失。虽然增强型自动测试图生成工具可能生成能够防止多周期测试中故障消失的测试模式（或种子），但在内建自测试架构中实现这一点非常困难且成本高昂。本文不考虑通过增强自动测试图样生成工具来解决此问题。

B. 多周期测试的SEQOB

为了解决多周期测试中的故障消失问题，文献[7]中引入了SEQOB技术。图1展示了整体结构。部分触发器的输出连接到一个附加比较器电路，以便检测传播到触发器并在捕获周期可能消失的故障效应。SEQOB技术存在两个问题。

问题1）： 如何为SEQOB选择FDS_FFs。由于硬件开销的考虑，对所有触发器实现完全观察是不现实的。在[8]，我们提出了选择FDS_FFs的方法学，该方法学将在第 III节中概述。

问题2）： 如图1所示，在捕获时钟速率下，针对大量触发器的SEQOB需要一个大型异或树电路，这会导致更高的故障混淆概率[9]，延迟增加以及更复杂的可测性设计布线。在本文中，我们提出了一种用于SEQOB的新型扫描单元设计，命名为SEQ_SC。它将在第四节中进行描述。

III. 为SEQOB选择FDS触发器

对于超大规模电路（例如：数百万门电路或更多），执行完整的故障模拟（无故障剔除）以搜索最有效的FDS_FFs过于耗时，难以应用。在[8]中，我们提出了三种方法来评估通过分析电路结构来实现FDS_FFs，这种方法效率较高。由于篇幅限制，我们仅对这些方法进行简要描述。

A. FDS_触发器的评估方法

方法1：门‐触发器连接复杂度

我们定义了六个参数来评估门电路与触发器之间的结构连接信息。

定义： 对于时序电路中组合逻辑部分的每个门gi ，P1~P6
P1. 与 gi 的输入相连的触发器数量。
P2. 与 gi 的输出相连的触发器数量。
P3. gi 输入路径上的门电路总数。
P4. gi 输出路径上的门电路总数。
P5. gi 最长输入路径的长度。
P6. gi 最长输出路径的长度。

对于每个触发器，我们通过反向追踪计算该触发器可观察到的所有门电路的P1~P6值之和，作为评估FDS_触发器的连接复杂度（CC）指标。

方法2：时序电路中故障的结构传播路径

我们定义了三种具有不同约束的类型，以计算满足这些约束的门电路数量，作为评估FDS_触发器的指标。这三种类型如下。

类型1：
C1. 门电路仅通过输出路径与FF i 连接。
C2. 门电路通过输入路径与FF i 连接。

类型2:
C1. 与Type1的C1相同。
C2. 门电路未通过输入路径与触发器 i 连接。
C3. 在输入和触发器 i 的输出之间存在路径。

类型3：
C1
C2：与类型2相同。
C3. 在触发器 i 的输入和输出之间不存在路径。

方法3：分支可达率（BRR）

对于一个触发器，如果其输入锥中存在大量分支信号线，并且这些分支信号线能够通过结构路径到达该触发器，则观察该触发器最有可能检测到更多的故障。因此，我们将触发器的BRR（能够通过结构路径到达该触发器的分支比率）定义为评估FDS_ FFs的指标。

基于TOPSIS的FDS_FFs选择

三种评估方法各自选择的FDS_FFs的效果在很大程度上取决于电路结构。因此，在[8]中，我们还引入了一种名为TOPSIS的多准则决策分析方法[10]，以用户指定的权重综合评估这三种评估方法得出的指标，从而为通用电路提供更优的FDS_FFs选择方案。详细步骤可参见[8]。

IV. SEQOB 扫描单元设计

在本节中，我们提出了一种新的扫描单元设计，名为SEQ_SC（顺序观察扫描单元），用于SEQOB（专利申请中：PCT/US01/15/220427）。

图2显示了SEQ_SC以及具有SEQOB的LBIST的可测性设计架构。该扫描单元可以在三种模式下工作：移位、捕获和用户模式。在测试模式下，SEQ_TEST_EN被置为1，SEN信号控制移位和捕获模式。当SEN=0和多个捕获时钟被施加时，每个周期内被测电路捕获的测试响应将通过异或门与扫描链中存储的数据进行压缩，并且压缩后的测试响应将在下一个捕获周期作为新的测试激励被应用。

让我们关注在测试期间如何使用图2所示的SEQ_SC。在捕获模式下，经过第一个捕获周期后，SEQ_SC的状态将为 DATA1^!SIN，经过第二个捕获周期后为DATA2^!(DATA1^!SIN)，其中DATA1是SIN（扫描输入向量）的捕获响应，DATA2是DATA1^!SIN的捕获响应。最后，当最后一个捕获周期完成后，各周期压缩后的捕获响应将被移位输出至MISR，并为每次测试生成唯一的签名用于故障检测。

与图1所示的可测性设计架构相比，SEQ_SC使得SEQOB的可测性设计更加简单（只需将扫描触发器替换为SEQ_SC），并且由于减少了异或门的数量，还降低了故障混淆概率。

V. 案例研究

我们使用瑞萨电子公司提供的Tessent工具对两个商用汽车电路（电路_A和电路_B）进行了实验。其中，电路_A和电路_B分别包含27万门和270万门电路、1.51万个和11.11万个触发器（扫描链数量= 151和1111）、99万和720万个固定型故障。通过Tessent扫描生成的预存随机模式被应用于电路中，在多周期测试和SEQOB条件下进行固定故障检测。需要注意的是，故障模拟器计算出的故障覆盖率已经考虑了故障混叠的影响。

A. 多周期测试结果

图3显示了电路_A和电路_B在 1~10个捕获周期测试下的故障覆盖率。

对于电路_A，可以看出，在应用1万种模式时，采用单个捕获时钟的传统扫描测试（表示为SCAN）仅实现了83.8%的故障覆盖率。作为对比，我们为传统扫描测试应用了更多的测试向量，直到达到90%的故障覆盖率，结果发现至少需要31,744种模式。对于多周期测试，增加捕获周期可提高故障覆盖率，并减少达到90%故障覆盖率所需的测试模式数量。例如：应用10个周期时需要6,016种模式。与扫描测试相比，我们实现了5.3倍测试模式压缩。

与电路_A相比，电路_B的结果显示，随着捕获周期的增加，故障覆盖率损失极为严重。这表明故障覆盖率仅在2个周期测试时有所提高，而在增加更多捕获周期后则下降。故障覆盖率的损失说明在电路_B中进行多周期测试时发生了严重的故障消失现象。考虑到测试向量的减少，通过扫描测试需要至少85,440个测试向量才能达到90%故障覆盖率，而通过2个周期测试可将测试向量减少至30,848，实现了2.8倍测试模式压缩。

图3的结果表明，多周期测试对于减少LBIST的测试模式量是有效的。然而，由于严重的故障消失问题，多周期测试的效果受到被测电路结构的影响而受阻。因此，我们建议在可测性设计策略中应仔细考虑面向多周期测试的设计，以增强多周期测试的效果。

B. SEQOB 结果 以评估效果

为了评估SEQOB，我们在可测性设计阶段使用提出的 FDS_FFs选择方法为电路选择20%的触发器作为FDS_FFs，并将其替换为SEQ_SC。我们将用于多周期测试的相同测试向量应用于电路，并在图4中展示故障覆盖率结果。其中标记为NON_OB和FULL_OB的结果分别表示无SEQOB的多周期测试以及观测所有触发器时的多周期测试的故障覆盖率。

对于电路_A，与非可观测（NON_OB）相比，所有FDS触发器选择方法均能进一步提升故障覆盖率。根据各FDS触发器选择方法的效果进行排序，得到的顺序为方法3 > 方法1 > 方法2。基于TOPSIS的选择方法实现了最大的故障覆盖率提升。为了达到90%故障覆盖率，非可观测（NON_OB）至少需要6,016种测试向量，而方法3（BRR）将其减少至4,736，TOPSIS‐based选择方法进一步减少至4,672。与需要31,744种测试向量的扫描测试相比，我们实现了6.7倍和6.8倍的测试向量压缩。需要注意的是，完全可观测（FULL_OB）实现90%故障覆盖率仅需3,840种测试向量，这代表了SEQOB的上限。通过选择20%的触发器所实现的测试向量压缩效果非常接近上界。

对于电路_B，与非可观测（NON_OB）相比，所有提出的 FDS_FFs选择方法均能提升故障覆盖率。我们确认了方法3 > 方法2 > 方法1的顺序。基于TOPSIS的FDS_FFs选择方法实现了与方法1相同的故障覆盖率提升。这是因为在TOPSIS过程中，我们为三个FDS_FFs评估指标设定了相等的权重，而方法1的指标在超大规模电路中对故障覆盖率提升产生了负面影响。为了达到90%故障覆盖率，非可观测（NON_OB）至少需要30,848个测试向量，通过方法3（BRR）减少到7,744个，通过TOPSIS减少到12,736个。与需要85,440个测试向量的扫描测试相比，我们实现了11.0倍和6.7倍的测试向量压缩。需要注意的是，完全可观测（FULL_OB）仅需1,600个测试向量即可达到90%故障覆盖率，实现了53.4倍的测试向量压缩。

图4的结果表明，SEQOB能够有效防止因故障消失导致的故障覆盖率损失，并且比多周期测试实现更多的测试向量压缩。选择方法的效果在很大程度上取决于电路结构。基于TOPSIS的FDS_FFs选择方法能够确保对故障覆盖率提升贡献更大的触发器被选为FDS_FFs，但需要一种确定最优权重的算法，这将是我们未来工作的一部分。

C. 测试应用时间 (TAT) 评估

汽车系统的上电自检必须在有限的测试应用时间内实现高故障覆盖率（>90% 故障覆盖率）。因此，我们分别估算了电路_A和电路_B在扫描测试、多周期测试（电路_A为10个周期，电路_B为2个周期）以及SEQOB测试（电路_A采用TOPSIS，电路_B采用方法3）下的测试应用时间。假设扫描移位和捕获操作的工作频率分别为50兆赫和100兆赫，并将10纳秒设为捕获操作启动的时间开销。电路_A和电路_B在扫描测试中的测试应用时间分别为63.8毫秒和171.7毫秒，通过多周期测试分别降低至12.6毫秒和62.3毫秒，通过SEQOB测试分别降低至9.8毫秒和15.6毫秒。

D. SEQOB的可行性

我们评估了通过TOPSIS方法选择电路_B的FDS_FFs（需要计算所有结构信息）的CPU时间，分别针对单核（270万门）、双核（540万门）和三核（810万门）的情况。结果显示，随着电路规模的扩大，所需时间呈线性增长，分别为547.9秒、1999.1秒和3629.4秒。

与全扫描设计相比，在对电路_A和电路_B分别顺序观测20%的触发器时，SEQOB仅引入1.1%和0.9%的硬件开销；当选择所有触发器进行SEQOB时，硬件开销分别增加至7.3%和6.1%。

VI. 结论

为了解决多周期测试中的故障消失问题，我们提出了一种新的用于SEQOB的扫描单元设计（SEQ_SC）以及通过评估电路结构来选择SEQOB中FDS_FFs的方法。在两个商用汽车电路中的实验结果表明，SEQOB显著减少了实现90%故障覆盖率所需的测试模式数量（例如：电路_A减少6.7倍，电路_B减少11.0倍）。对FDS_FFs选择方法的处理时间以及SEQOB引入的硬件开销的评估证实了SEQOB测试在超大规模电路中的可行性。

我们宣称，SEQOB在POST多周期测试下可在有限测试应用时间内实现90%故障覆盖率，以满足ISO26262要求。基于TOPSIS的FDS_FFs选择方法可确保对故障覆盖率提升贡献更大的触发器被选为FDS_FFs。然而，尚需一种确定最优权重的算法。这属于我们的未来工作。